• はてなブックマーク
  • テクノロジー
  • 7payのパスワード再設定に脆弱性、運営元が対策　「解決していない」との指摘も
  • Twitterでシェア
  • Facebookでシェア

7payのパスワード再設定に脆弱性、運営元が対策　「解決していない」との指摘も

テクノロジー カテゴリーの変更を依頼 記事元:www.itmedia.co.jp
適切な情報に変更
298 usersがブックマーク コメント88

    記事へのコメント88件

    • 注目コメント
    • 新着コメント
    masahiror
    masahiror CSSで隠しただけって…次はINPUT部品除去の対応して、F12開発者ツールで自分で同じIDのINPUT部品追記してPOSTしたら通ったりして/ああ、受け口のサーブレットが部品ありきで実装してるからすぐにはelement除去できないのかもね

    2019/07/04 リンク

    その他
    lalala360
    lalala360 CSSで消してるのが問題というわけでもない。サーバ側で受け付けないように対応しないと駄目。

    2019/07/04 リンク

    その他
    Lhankor_Mhy
    Lhankor_Mhy 『CSSで送付先を指定するフォームを表示させ、第三者のメールアドレスに送信できることが分かった』←さっそくブックマークレットが作られてて( http://let.hatelabo.jp/laiso/let/hLHW97LCgP9J )笑った。

    2019/07/04 リンク

    その他
    deep_one
    deep_one 大手に掲載された。／で、対策が対策になってなかった。／次は「フォームの項目は消したが、フィールドを前と同じ名前で作ってアドレスを送ると処理される（バックエンド側が対策されていない）」だな。

    2019/07/04 リンク

    その他
    KoshianX
    KoshianX 記者会見でこれについて説明はしたのか。いやさっき試したけどホントに無関係のメールアドレスにパスワード再設定メール送れちゃったよ。実装した技術者はこんなもの反発したはずで、押し切った担当者がいたんだろな

    2019/07/04 リンク

    その他
    otchy210
    otchy210 現場は反対したが上が押し切った仕様だったのではないか、という風に思ってたけど、css の話を聞くともしや現場もダメだったのでは？感でてきちゃう…。

    2019/07/04 リンク

    その他
    doroyamada
    doroyamada 「PDFで全選択すると黒塗りになっていた部分の文字が読める」を思い出す。 / そのelementがないとエラーを返すように作っているんだろうか。

    2019/07/04 リンク

    その他
    nejipico
    nejipico 作るのもバカだが対策もバカ。バカしかいねーのかセブンには。

    2019/07/04 リンク

    その他
    netcraft3
    netcraft3 送信先メールアドレスのinputタグがdisplay:none;されてるだけだった。

    2019/07/04 リンク

    その他
    hobbiel55
    hobbiel55 レビューで画面しか見てなくて、コードレビューなんてしてないんだろうな

    2019/07/04 リンク

    その他
    richard_raw
    richard_raw こういうのを姑息といいま……いや、しのげてないから違うのか。

    2019/07/05 リンク

    その他
    campanella
    campanella 仮にきれいに消しても、サーバーサイドを修正しないとパラメータ知ってる攻撃者にとっては無意味。POSTされるパラメータが減るとエラーになる可能性があるからCSSで見えなくした。担当が違うんだろう。

    2019/07/05 リンク

    その他
    suika3417
    suika3417 CSSで隠しただけは草

    2019/07/05 リンク

    その他
    yatta47
    yatta47 脆弱性という言い方よりか仕様バグという言い方のほうがしっくりくる。

    2019/07/05 リンク

    その他
    maple_magician
    maple_magician “第三者がユーザーの生年月日や電話番号、会員ID（メールアドレス）を知っていると、第三者のメールアドレスにもパスワードを再設定するためのメールを送れる、という問題に対処した。”──これはひどい。

    2019/07/05 リンク

    その他
    kuzudokuzu
    kuzudokuzu 個人的にどこまで7系列が崩れていくのか見ていきたい。

    2019/07/05 リンク

    その他
    kniphofia
    kniphofia 作り直して

    2019/07/05 リンク

    その他
    nakayossi
    nakayossi “CSSで送付先を指定するフォームを表示させ、第三者のメールアドレスに送信できることが分かった”

    2019/07/05 リンク

    その他
    cankyan
    cankyan ノーン・・・・

    2019/07/05 リンク

    その他
    comp123jp
    comp123jp F12で要素に値っこんでpostしたら動くって認識でOK?バグハントするの楽しそうなオモチャだw

    2019/07/05 リンク

    その他
    kae1990
    kae1990 ばかなのか

    2019/07/05 リンク

    その他
    marsrepublic
    marsrepublic 頭が悪すぎてクラクラする

    2019/07/05 リンク

    その他
    and_hyphen
    and_hyphen “ITmedia NEWS編集部が確認したところ、CSSで送付先を指定するフォームを表示させ、第三者のメールアドレスに送信できることが分かった”

    2019/07/05 リンク

    その他
    everybodyelse
    everybodyelse いやもうこれ激アツよね。これ自分でも確認した時は、あまりの杜撰さに思わず乾いた笑いが出たわ。笑うしかない、ってこういうことかと実感した。

    2019/07/05 リンク

    その他
    gokichan
    gokichan びっくりするほど初歩的な問題なんだが

    2019/07/04 リンク

    その他
    matsnow
    matsnow まずは早くサービスを止めたほうがいいんじゃないかな…。付け焼き刃でどうこうできる状態じゃない。

    2019/07/04 リンク

    その他
    LO05
    LO05 セブンといい吉本といい法外な上納金を巻き上げる一方でそれに見合う働きはおろか足引っ張ってるからせめて上納金分は働けよ

    2019/07/04 リンク

    その他
    foxintheforest
    foxintheforest 関係者間で責任のなすりつけ合いめっちゃしてそう

    2019/07/04 リンク

    その他
    u_eichi
    u_eichi 見えなくしただけ…。

    2019/07/04 リンク

    その他
    uchiten
    uchiten サーバサイドの修正はいまベンダーが見積もってるんだよ。影響調査数日、設計数日、実装数日、テスト数日……ってね。

    2019/07/04 リンク

    その他
    KAN3
    KAN3 技術者がこれに気づかないとは思えないし、指摘した上で無視するのもおかしいし、気づいた上で知らねー！俺のせいじゃねーしって感じになってたんじゃないのかな。相当労働環境悪そう

    2019/07/04 リンク

    その他
    winger14
    winger14 能力がバレた後のメレオロン状態なので。

    2019/07/04 リンク

    その他
    filinion
    filinion 開店直後のセブンネットショッピングが価格誤表示で大惨事になったのが2009年。クレカ情報15万件の漏洩が2013年。そして7pay脆弱性と、指摘を受けた後の対応がものすごく雑なのも毎回同じ。少しは失敗に学んで欲しい。

    2019/07/04 リンク

    その他
    aox
    aox 都度電話で本人かどうか尋ねるようにしましょう

    2019/07/04 リンク

    その他
    a_matsumoto
    a_matsumoto 解決してない

    2019/07/04 リンク

    その他
    babandoned
    babandoned このレベルは今まで見たことないレベル。どういう品質管理してんの？ベトナムとかで作ったコードを教育も何もされてない新卒プロマネが目視受け入れテストとかしてるのかな。地獄だな

    2019/07/04 リンク

    その他
    qinmu
    qinmu 《「CSSでフォームを非表示にしているだけ」という指摘》

    2019/07/04 リンク

    その他
    umaemong
    umaemong これ笑ってられないなー。悲しいけど、この程度の知識で専門家名乗ってるアレなベンダーとか沢山みてきた。7pay程のサービスがこの体たらくなのは確かに絶望的。

    2019/07/04 リンク

    その他
    ElizaAcolyte
    ElizaAcolyte ばーか！ばーかばーか！ほんとばーか！！！！（あまりの出来事に現実を受け入れられず語彙力を失った人の図） / いやでも、実はサーバサイドで塞いだ後で、フロントだけの暫定修正ということならまぁ。知らんけど。

    2019/07/04 リンク

    その他
    ku__ra__ge
    ku__ra__ge あっ、これ現場は地獄だわ

    2019/07/04 リンク

    その他

    注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています

    アプリのスクリーンショット
    いまの話題をアプリでチェック！
    • バナー広告なし
    • ミュート機能あり
    • ダークモード搭載
    アプリをダウンロード

    関連記事

    7payのパスワード再設定に脆弱性、運営元が対策　「解決していない」との指摘も

    モバイル決済サービス「7pay」で不正ログイン被害が相次いでいる問題で、運営元のセブン・ペイがこのほ...

    ブックマークしたユーザー

    • wyumikokh2022/10/07 wyumikokh
    • takaha42019/07/20 takaha4
    • munieru_jp2019/07/08 munieru_jp
    • cat12282019/07/08 cat1228
    • swingwings2019/07/06 swingwings
    • tyu-ba2019/07/05 tyu-ba
    • mjtai2019/07/05 mjtai
    • richard_raw2019/07/05 richard_raw
    • campanella2019/07/05 campanella
    • feilong2019/07/05 feilong
    • tg30yen2019/07/05 tg30yen
    • ookitasaburou2019/07/05 ookitasaburou
    • hiyosan222019/07/05 hiyosan22
    • suika34172019/07/05 suika3417
    • kisiritooru2019/07/05 kisiritooru
    • Ycheng2019/07/05 Ycheng
    • yatta472019/07/05 yatta47
    • nakag07112019/07/05 nakag0711
    すべてのユーザーの
    詳細を表示します

    同じサイトの新着

    同じサイトの新着をもっと読む

    いま人気の記事

    いま人気の記事をもっと読む

    いま人気の記事 - テクノロジー

    いま人気の記事 - テクノロジーをもっと読む

    新着記事 - テクノロジー

    新着記事 - テクノロジーをもっと読む

    同時期にブックマークされた記事

    はてなブックマーク

    公式Twitter

    はてなのサービス

    • App Storeからダウンロード
    • Google Playで手に入れよう
    Copyright © 2005-2025 Hatena. All Rights Reserved.